Política de privacidad de SprintDuo

Esta política explica cómo la aplicación SprintDuo trata sus datos personales. Términos como «Aplicación», «Cuenta», «Vínculo» y «Pareja» tienen el significado que se les da en nuestras Condiciones de uso.

En resumen

Usted inicia sesión con su número de teléfono y un código SMS. No almacenamos su número completo en texto claro.
Sus respuestas, elecciones en los juegos y mensajes se cifran en nuestra base de datos, en el servidor, no de extremo a extremo.
Su Pareja solo ve su respuesta después de haber respondido ella también.
No mostramos anuncios, no vendemos datos, no utilizamos herramientas de análisis ni de seguimiento de terceros y no elaboramos perfiles sobre usted.
Puede descargar sus datos y eliminar su Cuenta en la Aplicación en cualquier momento.

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es 8CELLS Jarosław Kaczmarski, con domicilio en Polonia, empresario individual inscrito en el Registro Central e Información sobre la Actividad Económica de Polonia (CEIDG), con número de identificación fiscal (NIP) 7962621938 y REGON 366811404 («nosotros»). La dirección postal para la correspondencia escrita figura en nuestra inscripción en el CEIDG (puede buscarla por NIP en biznes.gov.pl). Para cualquier cuestión relacionada con sus datos personales, escriba a hi@sprintduo.app.

No hemos designado un delegado de protección de datos, ya que no estamos obligados a ello (artículo 37 del RGPD). Para cualquier cuestión relacionada con sus datos, póngase en contacto con nosotros en la dirección indicada.

2. Qué datos tratamos

Cuenta e inicio de sesión

Número de teléfono. No almacenamos su número completo en texto claro en nuestra base de datos. Lo tratamos brevemente para enviar y comprobar su código SMS. Almacenamos un hash del número calculado con una clave secreta (HMAC), que sirve para encontrar su Cuenta, además de los 4 últimos dígitos y el código de país.
Código SMS. Los códigos de un solo uso los envía y comprueba nuestro proveedor Twilio (el servicio Twilio Verify).
Nombre o apodo (de hasta 40 caracteres), que ve su Pareja.
Confirmación de que tiene 18 años o más y de que acepta las Condiciones de uso.
PIN (opcional, 6 dígitos): se almacena únicamente como hash con sal. Si inicia el restablecimiento de un PIN olvidado, el restablecimiento se produce al cabo de 7 días y se informa a su Pareja.
Tokens de sesión: se almacenan únicamente como hashes.

Vínculo e invitaciones

Cuando invita a alguien a formar un Vínculo, introduce su número de teléfono. Lo almacenamos como hash (HMAC) para que solo la persona que inicie sesión con ese número vea la invitación.

Si recibe una invitación, su número de teléfono nos lo facilitó la persona que le invitó. Solo verá la invitación después de iniciar sesión con ese número. Las invitaciones caducan a las 72 horas. Puede aceptarla, rechazarla o bloquear al remitente; en este último caso, registramos el bloqueo y el remitente no recibe ningún aviso de ello.

También tratamos la información sobre con quién forma usted un Vínculo. Una Cuenta solo puede formar parte de un Vínculo activo a la vez.

Su contenido

respuestas a la pregunta del día,
elecciones y suposiciones en los minijuegos,
mensajes bajo las actividades completadas,
reacciones a las respuestas reveladas (por ejemplo, un corazón),
juegos guardados (marcadores).

Las respuestas, las elecciones en los juegos y los mensajes se cifran en nuestra base de datos con AES-GCM. Las claves se guardan en el servidor y las gestionamos nosotros. No se trata de un cifrado de extremo a extremo: técnicamente podemos leer este contenido.

Solo el responsable del tratamiento tiene acceso a las claves. No disponemos de ninguna herramienta para examinar su contenido y nadie lo lee de forma rutinaria. Solo lo leemos cuando es estrictamente necesario: a petición expresa suya (por ejemplo, cuando nos comunica un error), al tramitar una notificación de contenido ilícito o cuando la ley lo exige, y únicamente en la medida necesaria. Nunca lo utilizamos para publicidad, análisis ni entrenamiento de modelos de inteligencia artificial.

Las respuestas son texto libre. Escriba solo lo que quiera compartir con su Pareja.

El tema «Cercanía e intimidad»

Este tema es opcional. Sus preguntas solo aparecen cuando ambos lo han activado, y su Pareja no puede ver quién lo ha activado. Las respuestas de este tema pueden revelar información sobre su vida sexual, que constituye una categoría especial de datos personales conforme al artículo 9 del RGPD.

Solo tratamos estas respuestas sobre la base de su consentimiento explícito (artículo 9.2.a) del RGPD). Cuando activa el tema en la pestaña «Lo nuestro», la Aplicación muestra el texto del consentimiento, y el tema solo se activa después de que usted elija «Acepto». Registramos cuándo dio su consentimiento para poder demostrarlo. El consentimiento es voluntario: sin él, puede seguir utilizando todas las demás funciones de la Aplicación.

Puede retirarlo en cualquier momento desactivando el tema. En ese caso:

eliminamos definitivamente sus respuestas anteriores a las preguntas de este tema, así como sus mensajes y reacciones en ellas; en las preguntas que ambos hayan respondido, su Pareja verá «Respuesta eliminada»;
las preguntas de este tema que su Pareja aún no haya respondido desaparecen del historial de su Vínculo junto con la respuesta que usted haya podido dar, y no aparecen otras nuevas;
eliminamos el registro de cuándo dio su consentimiento.

Las respuestas y los mensajes de su Pareja en estas preguntas son datos de su Pareja: se conservan hasta que esta retire su propio consentimiento o elimine su Cuenta. El contenido eliminado desaparece de las copias de seguridad en el plazo indicado en el apartado 7. La retirada del consentimiento no afecta a la licitud del tratamiento realizado antes de dicha retirada.

Ajustes y notificaciones

Idioma de la Aplicación: para mostrar el contenido en su idioma.
Zona horaria como nombre IANA (por ejemplo, Europe/Warsaw), enviada por la Aplicación, para ajustar el día de su Vínculo en la Aplicación a su hora local.
Preferencias de notificación.
Token de notificaciones push e idioma del dispositivo, si permite las notificaciones. Las notificaciones le informan de la actividad de su Pareja (por ejemplo, una respuesta, un mensaje o una invitación) y nunca contienen el texto de las respuestas ni de los mensajes.

Los recordatorios (si los activa) los programa su teléfono. Su configuración se guarda únicamente en su dispositivo y nunca nos llega.

Datos técnicos y de seguridad

Registros técnicos sobre el funcionamiento del Servicio: hora, dirección y tipo de la solicitud, código de respuesta, errores e información de conexión facilitada por Cloudflare (por ejemplo, el país deducido de la dirección IP). Los registros nunca contienen el texto de las respuestas ni de los mensajes, números de teléfono ni códigos SMS.
Dirección IP de su dispositivo, que se trata cuando este se conecta a nuestro servidor. Para proteger el Servicio frente a abusos, limitamos el número de códigos SMS que se pueden enviar y, con ese fin, almacenamos hashes (HMAC) del número de teléfono y de la dirección IP.

La Aplicación solo guarda en su dispositivo lo que necesita para funcionar, como los datos de sesión y la configuración de los recordatorios.

Contacto con nosotros

Cuando nos escribe, tratamos su dirección de correo electrónico, el contenido de su mensaje y los datos necesarios para atender su solicitud, como su número de teléfono cuando nos pide que eliminemos su Cuenta.

3. Fines y bases jurídicas

Prestación del Servicio (creación y gestión de su Cuenta, inicio de sesión, PIN, vinculación, visualización de contenido, notificaciones y exportación de datos): artículo 6.1.b) del RGPD (ejecución de un contrato).
El tema «Cercanía e intimidad»: artículos 9.2.a) y 6.1.a) del RGPD (consentimiento explícito).
Número de teléfono de la persona invitada: artículo 6.1.f) del RGPD, sobre la base de nuestro interés legítimo en permitir que la persona que invita se vincule con la persona que elija.
Seguridad y prevención de abusos (límites de SMS, registros técnicos, periodo de espera y aviso a la Pareja cuando se restablece un PIN): artículo 6.1.f) del RGPD, sobre la base de nuestro interés legítimo en proteger el Servicio y las Cuentas.
Atención de sus derechos y reclamaciones y cumplimiento de obligaciones legales: artículo 6.1.c) del RGPD.
Correspondencia y formulación, ejercicio o defensa de reclamaciones: artículo 6.1.f) del RGPD.

Facilitar su número de teléfono, su nombre y las confirmaciones exigidas en el registro es necesario para crear una Cuenta. Cualquier otro dato lo facilita voluntariamente cuando utiliza funciones concretas.

4. Qué ve su Pareja

Su nombre y los 4 últimos dígitos de su número de teléfono, también en las invitaciones que envíe.
Su respuesta a la pregunta del día, solo después de que su Pareja también haya respondido.
Sus elecciones en los minijuegos, una vez que ambos hayan terminado el juego.
Sus mensajes y reacciones bajo las actividades completadas.

Su Pareja no puede ver su número de teléfono completo ni quién de los dos activó el tema «Cercanía e intimidad». Cuando el Vínculo termina (porque se desvinculan las cuentas o se elimina una Cuenta), su antigua Pareja pierde el acceso al contenido que compartían, incluido el de usted.

5. Quién trata datos por cuenta nuestra

Recurrimos a proveedores que tratan datos por cuenta nuestra como encargados del tratamiento, en virtud de contratos de encargo del tratamiento:

Cloudflare, Inc.: infraestructura del Servicio, es decir, servidores (Cloudflare Workers) y base de datos (D1). Trata todos los datos del Servicio.
Twilio Ireland Limited y Twilio Inc.: envío y comprobación de códigos SMS (Twilio Verify). Tratan su número de teléfono.
Google Ireland Limited: notificaciones push (Firebase Cloud Messaging). Trata el token de notificaciones, el idioma del dispositivo y el contenido de las notificaciones, que nunca incluye el texto de las respuestas ni de los mensajes.

En los dispositivos iOS, Firebase Cloud Messaging transmite la notificación a Apple Push Notification service (Apple Inc.), que la entrega en su dispositivo. En Android, las notificaciones las entregan los servicios de Google Play.

También podemos comunicar datos a las autoridades públicas cuando la ley lo exija. Usted descarga la Aplicación desde App Store o Google Play: Apple y Google tratan los datos relacionados con su cuenta de la tienda conforme a sus propias condiciones.

6. Transferencias fuera del EEE

Nuestra base de datos (Cloudflare D1) funciona en la región de Europa Occidental. No obstante, las solicitudes de la Aplicación las atiende el centro de datos de Cloudflare más cercano a su dispositivo, y Cloudflare, Twilio, Google (incluida Google LLC) y Apple (entrega de notificaciones en iOS) pueden tratar datos fuera del Espacio Económico Europeo, también en los Estados Unidos. Estas transferencias se basan en la decisión de adecuación de la Comisión Europea relativa al EU-US Data Privacy Framework (para las empresas certificadas) o en las cláusulas contractuales tipo aprobadas por la Comisión. Puede solicitarnos información sobre las garantías aplicadas.

7. Cuánto tiempo conservamos los datos

Cuenta y su contenido: mientras tenga una Cuenta. Cuando elimina su Cuenta, eliminamos inmediatamente de la base de datos de producción la Cuenta (incluidas las preferencias y los tokens de notificación), las respuestas, las elecciones en los juegos, los mensajes, las reacciones, los juegos guardados y las sesiones.
Contenido del tema «Cercanía e intimidad»: hasta que retire el consentimiento (apartado 2) o elimine su Cuenta.
Copias de seguridad (restauración de la base de datos a un momento elegido): hasta 30 días; transcurrido ese plazo, los datos eliminados desaparecen también de las copias de seguridad.
Tokens de sesión: hasta que cierre la sesión, la sesión caduque o elimine su Cuenta.
Invitaciones: válidas durante 72 horas; las eliminamos 30 días después de su envío, tanto si se aceptaron como si se rechazaron o caducaron.
Registro de un remitente bloqueado: hasta que se elimine su Cuenta o la del remitente.
Registros técnicos: hasta 7 días.
Datos del límite de envío de SMS: 48 horas.
Correspondencia y reclamaciones: 3 años desde el cierre del asunto, y más tiempo solo cuando sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.

8. Cómo protegemos los datos

No utilizamos contraseñas: el inicio de sesión se basa en códigos SMS y en un PIN opcional.
Almacenamos su número de teléfono como hash HMAC, junto con los 4 últimos dígitos y el código de país.
Almacenamos su PIN y sus tokens de sesión únicamente como hashes.
Ciframos las respuestas, las elecciones en los juegos y los mensajes en la base de datos (AES-GCM, claves en el servidor), y solo el responsable del tratamiento tiene acceso a las claves.
Las notificaciones nunca contienen el texto de las respuestas ni de los mensajes.

9. Sus derechos

Usted tiene derecho a:

acceder a sus datos y obtener una copia: en la pestaña «Lo nuestro», elija «Descargar mis datos» para obtener un archivo JSON con sus datos (no incluye los datos de su Pareja);
la rectificación: puede cambiar su nombre en la Aplicación, en «Editar perfil»;
la supresión: en la Aplicación, Lo nuestro → Zona de peligro → Eliminar cuenta; sin la Aplicación, siga las instrucciones de la página «Eliminar su cuenta»;
la limitación del tratamiento;
la portabilidad de los datos: puede llevar el archivo JSON exportado a otro servicio;
oponerse al tratamiento basado en nuestro interés legítimo;
retirar el consentimiento en cualquier momento; en el caso del tema «Cercanía e intimidad», basta con desactivarlo (el apartado 2 explica qué ocurre entonces);
presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales de Polonia (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) o ante la autoridad de control del país de la UE en el que viva o trabaje.

Para ejercer sus derechos, escriba a hi@sprintduo.app. Podemos pedirle que confirme mediante un código SMS que el número de teléfono de la Cuenta es suyo. Le responderemos sin dilaciones indebidas y, a más tardar, en el plazo de un mes. En casos excepcionales, este plazo puede prorrogarse otros dos meses; si así fuera, se lo comunicaremos.

10. Publicidad, análisis y elaboración de perfiles

No mostramos anuncios ni utilizamos su contenido con fines publicitarios. No vendemos datos. No utilizamos herramientas de análisis de terceros ni SDK de seguimiento. No elaboramos perfiles sobre usted ni tomamos decisiones sobre usted basadas únicamente en el tratamiento automatizado. El contenido editorial, como las preguntas y los juegos, lo redacta el equipo de SprintDuo.

11. Menores de edad

SprintDuo es solo para personas de 18 años o más. No tratamos a sabiendas datos de menores de edad. Si tenemos conocimiento de que una Cuenta pertenece a un menor de edad, la eliminaremos.

12. Cambios en esta política

Podemos actualizar esta política, por ejemplo, cuando cambien las funciones de la Aplicación o la legislación. La fecha de la última actualización figura junto a esta política. Le informaremos de los cambios significativos en la Aplicación.